Cryptographie post-quantique : pourquoi agir dès maintenant
Le compte à rebours quantique est lancé, mais le vrai danger n’attend pas le Q-Day. À compter de 2027, les référentiels de certification de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) intégreront progressivement des exigences relatives à la cryptographie post-quantique. Cette évolution marque une étape importante dans la préparation à l’ère post-quantique, qui devient un enjeu concret de cybersécurité.
Les cybercriminels n’attendent pas l’arrivée d’ordinateurs quantiques opérationnels. La stratégie « Harvest now, decrypt later » (« collecter aujourd’hui pour déchiffrer demain ») consiste à dérober des données chiffrées en espérant pouvoir les déchiffrer à l’avenir grâce aux capacités de calcul quantique. Le risque concerne dès à présent les données dont la confidentialité doit être préservée sur le long terme.
Parallèlement, l’intelligence artificielle accélère le rythme des cyberattaques. Les attaquants disposent désormais d’outils capables d’identifier plus rapidement les vulnérabilités et d’automatiser certaines phases de leurs opérations, réduisant ainsi le temps de réaction des équipes de sécurité.
La migration vers la cryptographie post-quantique constitue une étape indispensable, mais elle ne suffira pas à elle seule à protéger les systèmes d’information. Les organisations doivent comprendre où résident les données sensibles et quelles applications utilisent encore des mécanismes de chiffrement hérités. Une cartographie précise de leurs actifs critiques est essentielle pour prioriser les investissements et planifier une transition progressive.
L’expérience montre qu’aucune organisation n’est totalement à l’abri d’une intrusion. Il est donc crucial d’adopter une approche qui considère qu’une compromission est inévitable et de privilégier des mécanismes capables de limiter les déplacements latéraux des attaquants.
En conclusion, la préparation à l’ère post-quantique ne se résume pas au remplacement des algorithmes cryptographiques. Elle doit également inclure une approche globale de la résilience, fondée sur la connaissance des actifs critiques et la capacité à contenir rapidement une compromission. Les organisations qui investiront dès aujourd’hui dans cette approche seront mieux préparées aux menaces futures.
Source : Damien Gbiorczyk, expert cyber résilience, Illumio.
